Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие файлы на съемном носителе:
- <Имя диска съемного носителя>:\VolumeDH\inj.dat
Вредоносные функции:
Создает и запускает на исполнение:
- "%TEMP%\360mohesetup.exe" (загружен из сети Интернет)
- "%TEMP%\jm_setup_qvod.exe" (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\reg.exe add "HKCU\Software\tmp" /v "key" /d ""http://www.82##3.com/?S"" /f
- <SYSTEM32>\reg.exe add "HKCR\CLSID\{971C5380-92A0-5A69-B3EE-C3002B33309E}" /v "IsShortCut" /d "" /f
- <SYSTEM32>\reg.exe add "HKCR\CLSID\{971C5380-92A0-5A69-B3EE-C3002B33309E}\Shell\open(&H)\Command" /v "" /d "wscript -e:vbs """%APPDATA%\redload\3.bat"""" /f
- <SYSTEM32>\reg.exe add "HKCU\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d ""http://www.82##3.com/?S"" /f
- <SYSTEM32>\cmd.exe /c """%TEMP%\s_min_run.bat"" "
- <SYSTEM32>\rundll32.exe syssetup,SetupInfObjectInstallAction DefaultInstall 128 "%APPDATA%\redload\1.inf"
- <SYSTEM32>\reg.exe add "HKLM\Software\Microsoft\Internet Explorer\Main" /v "Start Page" /d ""http://www.82##3.com/?S"" /f
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\redload\1.inf
- %APPDATA%\ampw.ooe.ini
- %APPDATA%\redload\╠╘▒ж╣║╬я.url
- %APPDATA%\redload\░╦╪╘╔л═╝.url
- %APPDATA%\redload\├└┼о└╓╘░.url
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\69I9OPW5\cnkankan[1]
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\ULU3YH2D\360mohesetup[1].exe
- %TEMP%\360mohesetup.exe
- %TEMP%\jm_setup_qvod.exe
- %PROGRAM_FILES%\Internet Explorer\ieframe.dll
- %HOMEPATH%\Local Settings\Temporary Internet Files\Content.IE5\0D6B6PI5\jm_setup_qvod[1].exe
- %APPDATA%\PIPI\meinv.ico
- %APPDATA%\PIPI\taobao.ico
- %APPDATA%\PIPI\kankan.ico
- %TEMP%\cdf1912.tmp
- %APPDATA%\PIPI\bagua.ico
- %APPDATA%\redload\1.bat
- %TEMP%\inl3.tmp
- %APPDATA%\redload\┐┤┐┤╡ч╙░.url
- %TEMP%\s_min_run.bat
- %APPDATA%\redload\2.bat
- %APPDATA%\redload\4.bat
Самоудаляется.
Сетевая активность:
Подключается к:
- 'ju###.35638.com':27889
- 'localhost':1044
- 'www.xu###i6x.com':80
- 'bo###gqi.6gg.cn':80
- '12#.#4.142.19':1000
- 'localhost':1038
- 'www.cn###kan.com':80
- 'localhost':1042
TCP:
Запросы HTTP GET:
- www.xu###i6x.com/youbak/software/partner/6/360mohesetup.exe
- bo###gqi.6gg.cn/jm_setup_qvod.exe
- www.cn###kan.com/?82###
UDP:
- DNS ASK www.xu###i6x.com
- DNS ASK www.xu###i100.com
- DNS ASK bo###gqi.6gg.cn
- DNS ASK www.cn###kan.com
- DNS ASK ju###.35638.com
Другое:
Ищет следующие окна:
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebcheckMonitor' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
